Auftragsverarbeitung (Art. 28 DSGVO)

1. Gegenstand und Rollen

Der Kunde ist Verantwortlicher, der Anbieter Auftragsverarbeiter. Gegenstand ist die Verarbeitung personenbezogener Daten zur Bereitstellung der Recruiting- und Matching-Plattform.

2. Art der Daten und betroffene Personen

• Kandidatendaten: Stammdaten, Disziplin, Skills, Verfügbarkeit, Ort, Notizen
• Einwilligungsdaten: Zweck, Rechtsgrundlage, Zeitraum, Widerruf
• Nutzerdaten des Kunden: Anmeldedaten, Rollen, Organisationszugehörigkeit
• Protokolldaten: Zugriffe, Entscheidungen, Begründungen
• Betroffene Personen: Bewerber und Talente, Mitarbeitende des Kunden

3. Weisungsrecht

Der Anbieter verarbeitet Daten ausschließlich auf dokumentierte Weisung des Kunden. Weisungen erfolgen über die Plattformkonfiguration oder schriftlich. Der Anbieter informiert, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

4. Vertraulichkeit

Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet und werden regelmäßig zum Datenschutz unterwiesen.

5. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung und Verschlüsselung ruhender Daten beim Hoster
• Zeilenbasierte Zugriffsbeschränkung in der Datenbank; verborgene Profile ohne Freigabe technisch unsichtbar
• Rollen- und Rechtekonzept je Organisation, Mandantentrennung
• Append-only Protokollierung von Zugriffen und Entscheidungen
• Pseudonymisierung vor Übermittlung an KI-Dienstleister
• Regelmäßige Backups und Wiederherstellungstests

6. Subprozessoren

Der Kunde stimmt dem Einsatz von Subprozessoren für Hosting, Datenbank und Authentifizierung, E-Mail-Versand und KI-Vorschläge zu. Der Anbieter informiert über beabsichtigte Wechsel und räumt ein Widerspruchsrecht ein.

Die aktuelle Liste der Subprozessoren wird auf Anfrage an datenschutz@pathlane.app bereitgestellt.

7. Drittlandtransfer

Verarbeitung findet grundsätzlich in der EU statt. Sofern im Einzelfall ein Drittlandtransfer erforderlich ist, erfolgt dieser nur auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO.

8. Unterstützung bei Betroffenenrechten

Der Anbieter unterstützt den Kunden bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch durch entsprechende Funktionen in der Plattform.

9. Meldung von Verletzungen

Der Anbieter meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und stellt die zur Meldung nach Art. 33 DSGVO erforderlichen Informationen bereit.

10. Löschung und Rückgabe

Nach Beendigung des Vertrags werden Daten nach Wahl des Kunden zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Backups werden im Rahmen der regulären Rotation überschrieben.

11. Kontrollrechte

Der Kunde kann sich von der Einhaltung dieses Vertrags überzeugen. Der Anbieter erteilt hierzu Auskunft und stellt vorhandene Nachweise bereit; Vor-Ort-Prüfungen erfolgen nach Ankündigung und mit angemessener Rücksicht auf den Betrieb.